Der er to krav, ikke ét. De ligger hos hver sin part. Og det ene bliver rutinemæssigt solgt dyrere, end forordningen faktisk kræver.
Opdateret 30. juli 2026
Kort svar: hvis I sælger noget online, og nogen på et tidspunkt har brugt Firefly, Midjourney, Google eller en Photoshop-funktion med “generativ” i navnet til et billede, der ligger på siden — så ja.
Fra 2. august 2026 skal det oplyses, når billeder, video eller lyd er genereret eller manipuleret med kunstig intelligens.
Testen står i Kommissionens vejledning (pkt. 113) og har fire led: indholdet skal ligne noget eksisterende — personer, genstande, steder eller begivenheder — og fremstå ægte. Ligheden skal være mærkbar, men ikke identisk. Vurderingen skal foretages konkret af den, der udgiver indholdet. Der findes ingen liste at slå op i.
Der er en lempet regel for indhold, der er tydeligt kunstnerisk, kreativt, satirisk eller fiktivt (pkt. 119). Vær opmærksom på to ting: lempelsen fjerner ikke oplysningspligten — den gør den bare mere diskret. Og den gælder kun, hvis den kunstneriske karakter er tydelig: indhold, hvis karakter er uklar eller tvetydig for publikum, falder uden for lempelsen (pkt. 122). Et produktbillede i en webshop er sjældent tydeligt kunstnerisk. Vejledningen tilføjer i samme afsnit (pkt. 120), at værker, der hovedsageligt er motiveret af funktionelle eller tekniske hensyn, ikke kan regnes som kreative.
Kommissionens vejledning siger det direkte:
“AI-generated or manipulated outputs falling within the scope of Article 50(2) AI Act and deep fakes within scope of Article 50(4), first subparagraph, AI Act, which have been generated or manipulated before 2 August 2026 do not need to be marked or labelled retroactively.” — Kommissionens vejledning, pkt. 154
For billeder, lyd og video er det afgørende tidspunkt hvornår indholdet blev genereret — ikke hvornår det blev lagt op. Det blev ændret i den endelige udgave af retningslinjerne; udkastet brugte udgivelsestidspunktet. Kommissionen opfordrer til at mærke gammelt materiale alligevel, men det er en opfordring, ikke et krav.
For tekst om emner af offentlig interesse gælder det modsatte: dér er det udgivelsestidspunktet, der tæller. Tekst skrevet før 2. august, men udgivet efter, skal mærkes.
Bliver I tilbudt et projekt, der starter med at gennemgå og mærke alt jeres eksisterende billedarkiv, så er det værd at spørge hvorfor.
Et usynligt mærkat inde i filen, så maskiner kan se, at indholdet er AI. Pligten ligger hos udbyderen af AI-systemet — altså Adobe, Google eller hvem der nu har lavet værktøjet.
En tekst eller et mærkat dér, hvor billedet vises, så et menneske kan se det. Pligten ligger hos den, der anvender systemet og udgiver resultatet — altså jer.
Det er den vigtigste skelnen i hele feltet, og den bliver konstant rodet sammen. Metadata i filen opfylder ikke kravet om en synlig oplysning, og en synlig oplysning opfylder ikke kravet om metadata. De skal begge være der, og de løses hver for sig.
For en almindelig webshop betyder det i praksis, at 50(2) som regel allerede er klaret af værktøjet. Firefly skriver mærkatet selv. Det, der mangler, er næsten altid 50(4) — den synlige. Og den er jeres, uanset hvem der lavede billedet.
Bruger I et bureau, gælder deployer-pligten i øvrigt både bureauet og den bestillende virksomhed. Den kan ikke skubbes videre i en kontrakt.
Almindelig, usigneret XMP-metadata er nok. Bliver I tilbudt fuld C2PA-signering med certifikat som en nødvendighed, er det mere, end forordningen kræver.
Det er den ene sætning på denne side, det er værd at huske, inden I køber noget.
Forskellen på de to, uden jargon:
| C2PA | XMP / IPTC | |
|---|---|---|
| Hvad det er | Et signeret manifest gemt i filen | Almindelig, usigneret tekst i filen |
| Kræver | Et certifikat, og noget der kan signere | Ingenting — det er bare et felt |
| Kan ændres af andre | Nej, uden at signaturen brydes | Ja, hvem som helst |
| Nok til artikel 50(2)? | Ja | Ja |
Feltet, det hele handler om, ser sådan her ud:
Iptc4xmpExt:DigitalSourceType = trainedAlgorithmicMedia
— altså “lavet af en trænet algoritme”. Er billedet et sammensat billede med
AI-elementer i, står der compositeWithTrainedAlgorithmicMedia i stedet.
C2PA er en god ting, og selve certifikatet er ikke dyrt — omkring 2.000 kr. om året, og der findes en gratis mulighed. Det dyre er projektet: at bygge signering ind i billedpipelinen og signere et helt katalog om. Det kræver forordningen ikke. Bruger I i forvejen Adobe-værktøjer, får I i øvrigt allerede signeret C2PA uden at betale ekstra for det.
Her er det, der overrasker de fleste. Når et billede uploades, laver systemet mindre udgaver af det til visning — og metadata overlever som udgangspunkt ikke den proces. Det gælder WordPress, Shopify og Next.js’ billedpipeline, medmindre man udtrykkeligt beder om andet.
Resultatet: originalen bærer mærkatet. Den fil, jeres kunder faktisk får serveret, gør ikke. Ingen har besluttet det. Det sker bare.
Det er ikke i sig selv en overtrædelse fra jeres side — mærkningspligten er udbyderens. Men det fjerner det eneste spor, der gør det muligt at holde styr på hvilke billeder der er AI, når man har tusindvis af dem. Og det er præcis det regnskab, artikel 50(4) forudsætter, at I kan føre.
Står der ingenting, betyder det ikke, at billedet er et rigtigt foto. Det
betyder bare, at der ikke er noget mærkat i filen — enten fordi der aldrig var et,
eller fordi det forsvandt undervejs. Vil I vide hvilket, så tjek originalfilen
også: samme filnavn uden størrelses-endelsen (-687x1024 og lignende).
Fra terminalen, hvis I hellere vil det:
exiftool -DigitalSourceType -XMP:all billede.jpg
Der er en live demo med otte produktbilleder, hvor fire indeholder AI-genereret materiale. Et script læser filerne, finder de fire og sætter mærkningen på — uden ændringer i HTML eller CSS. De fire uden metadata bliver ikke rørt, for fraværet af et mærkat beviser ingenting.
Digital Omnibus-forliget udskød dele af AI-forordningen — men ikke artikel 50. Højrisikosystemerne i bilag III rykkede til 2. december 2027. Det er en anden ting, og forvirringen mellem de to er udbredt.
Der findes én reel udsættelse her: for AI-systemer, der allerede var bragt i omsætning før 2. august 2026, gælder mærkningspligten i 50(2) først fra 2. december 2026. Den ligger hos udbyderen af systemet, ikke hos jer.
Send mig jeres domæne. Jeg kigger på de offentligt tilgængelige sider og de billedfiler, de serverer — intet login, ingen kundedata, ingen scanning af jeres systemer — og sender en rapport tilbage. I får den, uanset om der er noget at finde.